bot-backend 5c559ed0e3 fix(tradein): SSRF host-allowlist на admin scrape + удалён dead ADMIN_TOKEN (Refs #756) ... admin scrape-эндпоинты фетчили произвольный *_url без host-проверки (SSRF defense-in-depth поверх RBAC). _assert_allowed_url(url): абсолютный URL с не-allowlist хостом → 400; относительный путь → ok (хост подставляется источником). Guard в 5 хендлерах (avito_house/avito_detail/yandex_detail/ cian_detail/cian_newbuilding). scrape_allowed_hosts в config (сверено со scrapers/*.py — добавлены ekb.cian.ru, ekaterinburg.n1.ru). ADMIN_TOKEN (0 чтений в коде) убран из docker-compose.prod.yml + DEPLOY.md. main.py RBAC не тронут. 11 тестов pass, ruff clean.		2026-05-30 19:21:31 +03:00
..
app	fix(tradein): SSRF host-allowlist на admin scrape + удалён dead ADMIN_TOKEN (Refs #756)	2026-05-30 19:21:31 +03:00
data/sql	feat(scrapers): wire N1.ru city sweep — pipeline + scheduler + admin endpoint (#575) (#745)	2026-05-30 15:43:38 +00:00
scripts	feat(backtest): per-rooms asking→sold correction block (#648 S1) (#650)	2026-05-29 13:11:55 +00:00
tests	fix(tradein): SSRF host-allowlist на admin scrape + удалён dead ADMIN_TOKEN (Refs #756)	2026-05-30 19:21:31 +03:00
.dockerignore	feat: add tradein-mvp subproject (Trade-In Estimator под /trade-in)	2026-05-21 00:25:39 +03:00
Dockerfile	feat(tradein): persistent infra для backfill scripts (PR F) (#592)	2026-05-27 06:59:54 +00:00
pyproject.toml	feat(rbac): role-based access control via X-Authenticated-User middleware (#585)	2026-05-26 06:18:40 +00:00